作者freeunixer (离自相空她相)
看板MIS
标题[请益] FortGate VPN Site-Side outgoing
时间Mon May 13 18:31:00 2019
请问一下,
FortiOS 5.6 建 client to site IPSec
Client 端使用 FortiVPN 可以连得上也可以 ping 到 FortiGate 的 LAN,
VPN tunnel 在建时已经勾选了 split-tunnel
但是连上 VPN 後就无法上网...
https://imgur.com/a/jtzfqY3
想问一下如果要经由 FortiGate 及不经由 FortiGate 上网,我还需要设定什麽?
(有时是要连上 FortiGate 的 LAN 就好,
但有时要连到只允许 FortiGate IP in 的地方)
谢谢.
--
读者审校网试行版(2018/1/1 更新网址)
http://readerreviewnet.processoroverload.net/
(哲、史、法、政、经、社，人文翻译书籍错译提报网)
◎洪兰"毁人不倦"举报专区
http://tinyurl.com/ybfmzwne
读者需自救，有错自己改...
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 60.250.37.178
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1557743463.A.445.html
1F：推 qwert88: Policy有开吗？ 05/13 19:55
2F：推 pigya0214: VPN Policy内除了来源地址还要加入使用者帐号或群组 05/13 21:22
4F：推 trust0214: 经FORTI上网 VPN TO WAN的POLICY要开 05/14 07:27
5F：→ trust0214: 不经FORTI，CLIENT有个远端匣道器勾勾要拿掉 05/14 07:27
6F：→ trust0214: 不知对不对 您再试试看一下了 05/14 07:28
7F：→ freeunixer: 可以看我上传的图,没有那个选项呢... 05/14 14:46
8F：推 phoenixcx: 你policy看看vpn的zone能不能对外 05/14 15:28
9F：→ freeunixer: 後来我发现...是我的 Wan 端没设 gateway 出不去... 05/14 15:53
10F：→ freeunixer: 现在我可以透过 VPN 连外了,但是不知道, 05/14 15:54
11F：→ freeunixer: 若一般连线要走 client 自己,要怎麽设 split channel 05/14 15:55
12F：→ deadwood: つfortigate cookbook XD 05/14 16:48
13F：→ freeunixer: 解决了.在位址物件那要建一个 lan ip range, 05/15 15:28
14F：→ freeunixer: 到已建立的 VPN 隧道的网路里在可访问网路选择 LAN, 05/15 15:30
15F：→ freeunixer: 确认可访问网路上的 split channel 有勾选,这样就行了 05/15 15:30
16F：→ freeunixer: 简单说就是要让 tunnel 知道这个连线可以去哪些地方, 05/15 15:42
17F：→ freeunixer: 以外的流量它就会丢还给你自己. 05/15 15:42
18F：→ freeunixer: 所以你应该可以定义允许转发的位址,绑成一个 GROUP 05/15 15:43
19F：→ freeunixer: 将它设到可访问网段里,这样就能做到指定位址/网段转发 05/15 15:44
20F：→ freeunixer: 不过好像不能同时建两个 tunnel,直接切有 sp 跟无 sp 05/15 18:28
21F：→ deadwood: 理论上 把你要的透过forti的公有IP加进要SP的物件群组 05/15 20:45
22F：→ deadwood: 应该就可以做到了 05/15 20:45
23F：→ freeunixer: 是,但因为 target 零散,我想建两条独立的 tunnel 省事 05/15 22:01
24F：→ freeunixer: 但试了之後发现好像建了第二条,就会造成一条失效... 05/15 22:02
25F：→ freeunixer: 後来我搞了一个 pptp channel 出来,我先来试试看, 05/16 14:05
26F：→ freeunixer: 如果同间两个以上连线没问题,就 PPTP、IPSec 分着用吧 05/16 14:06
27F：→ deadwood: 我记得可以用不同使用者群组对应到不同tunnel，可以试试 05/16 23:41
28F：→ freeunixer: 我前两天试了,没办法,设了第二条,就会错乱... 05/17 10:57
29F：→ freeunixer: 我问别人,回答是一个介面只能有一个 ipsec channel. 05/17 10:57
30F：→ freeunixer: 现在要改试 tp mode,全得手动设,苦干 Phase 2 中... 05/20 18:07
31F：→ freeunixer: tp mode 的 client to side 该怎麽设... 05/20 18:26